coppa-compliance

COPPA コンプライアンス — 子どものオンラインプライバシー保護法

概要

子どものオンラインプライバシー保護法（COPPA）は、合衆国法典第15編第6501条～第6506条に成文化され、連邦取引委員会（FTC）のCOPPA規則（連邦規則集第16編第312部）によって施行されています。この法律は、13歳未満の子どもから個人情報をオンラインで収集、使用、開示することを規制しています。COPPAは、13歳未満の子どもを対象とする商用ウェブサイトおよびオンラインサービス（モバイルアプリを含みます）の運営者、または13歳未満の子どもから個人情報を収集していることを実際に知っている運営者に適用されます。FTCが2013年に行った改正により、行動ターゲティング広告に使用される永続的識別子、写真、動画、音声録音、位置情報データも対象に含まれるようになり、適用範囲が大幅に拡大しました。FTCは2023年12月、子どもへのプッシュ通知の制限や、ターゲティング広告に対する同意要件の拡大など、さらなる改正を提案する規則制定案通知（NPRM）を発行しました。

法律および規制の枠組み

COPPA法 — 合衆国法典第15編第6502条

• 第6502条(a)(1)：子どもを対象とするウェブサイトまたはオンラインサービスの運営者、または13歳未満の子どもから情報を収集していることを実際に知っている運営者が、FTCの規則に違反する方法で個人情報を収集することは違法です。
• 第6502条(b)(1)：FTCは、運営者に次の事項を義務付ける規則を制定しなければなりません。（A）情報の取り扱いについて通知すること。（B）検証可能な保護者の同意を得ること。（C）収集した情報を保護者が確認できるようにすること。（D）保護者が以後の収集および使用を拒否できるようにすること。（E）収集を活動に必要な範囲に制限すること。
• 第6502条(b)(2)：FTCは、競争への影響、費用と便益、および既存のセーフハーバープログラムへの影響の可能性を考慮して規則を適用するものとします。

COPPA規則 — 連邦規則集第16編第312部

第312.2条 — 主な定義

• 子ども：13歳未満の個人
• 運営者：ウェブサイトまたはオンラインサービスを運営し、利用者から、または利用者に関する個人情報を収集または保有する者、あるいはその者に代わって当該情報が収集または保有される者
• 個人情報：個人を特定できる情報。以下を含みます。名と姓、自宅または物理的な住所、オンライン連絡先情報（メールアドレス）、電話番号、社会保障番号、利用者を長期にわたり複数のウェブサイトで認識するために使用できる永続的識別子、子どもの画像または声を含む写真・動画・音声ファイル、通りの名称と市を特定できる位置情報、ならびに子どもまたは保護者に関する情報で、上記のいずれかと組み合わせて収集されたもの
• 子どもを対象とするウェブサイトまたはオンラインサービス：次の要素に基づいて判断されます。主題、視覚的な内容、アニメキャラクターの使用、子ども向けの活動や特典、音楽、モデルの年齢、子どもの有名人の有無、子どもを対象とした広告、対象となる利用者層に関する信頼できる証拠
• 内部運用のサポート：ウェブサイトまたはオンラインサービスの機能の維持や分析に必要な活動。単回の収集と連絡を伴わない使用、表示頻度の制限、法令遵守、セキュリティ、コンテキスト広告、コンテンツのパーソナライズ（広告目的以外）を含みます

セクション 312.3 — 運営者の義務

1. 保護者への直接通知（セクション 312.4）：子どもから個人情報を収集、使用、または開示する前に、運営者はウェブサイト／サービス上で、また保護者に直接、明確で目立つ通知を提供しなければなりません
2. 検証可能な保護者の同意（セクション 312.5）：限定的な例外を除き、収集、使用、または開示を行う前に、検証可能な保護者の同意を得なければなりません
3. 保護者のアクセス（セクション 312.6）：子どもから収集した個人情報を確認し、さらなる収集または使用を拒否するための合理的な手段を保護者に提供しなければなりません
4. 機密性、セキュリティ、完全性（セクション 312.8）：子どもから収集した個人情報の機密性、セキュリティ、完全性を保護するため、合理的な手順を確立し、維持しなければなりません
5. データの最小化（セクション 312.7）：合理的に必要な範囲を超える個人情報の提供を、子どもが活動に参加する条件としてはなりません
6. データの保持（セクション 312.10）：子どもから収集した個人情報は、収集目的を達成するために合理的に必要な期間に限って保持しなければなりません

検証可能な保護者の同意を得る方法 — セクション 312.5(b)

FTC は、検証可能な保護者の同意を得る方法として、以下を認めています。管理者は、収集するデータの機密性とその使用方法に基づき、適切な方法を選択しなければなりません。

方法 1：署名済み同意書

• 保護者が同意書を印刷、署名し、郵便、ファクス、または電子スキャンで運営者に返送します
• 同意書には、運営者を特定し、収集するすべての情報を列挙し、使用および開示の方法を説明し、保護者が同意を撤回できることを記載しなければなりません
• 最初の高保証の本人確認に適しています
• 制限：手続きに時間がかかり、印刷手段のない保護者には利用上の障壁があります

方法 2：クレジットカードまたはその他のオンライン決済取引

• 保護者は、各個別の取引について主たる口座名義人に通知するクレジットカード、デビットカード、またはその他のオンライン決済システムを使用します
• 取引は正当な購入もしくは寄付、または保護者に開示された少額取引（例：USD 0.50）でなければなりません
• 取引を伴わないクレジットカードの確認だけでは不十分であり、実際の金銭取引が必要です
• 制限：銀行口座を持たない家庭は対象外となり、参加をためらわせる可能性があります

方法 3：フリーダイヤルまたはビデオ会議

• 保護者は、知識ベースの質問を通じて本人確認を行う訓練を受けた担当者が対応するフリーダイヤルに電話します
• または、ビデオ会議通話に接続し、視覚的に本人確認を行います
• 運営者は、COPPA の要件と確認手順についてスタッフを訓練しなければなりません
• 制限：多言語サポートのための人員配置など、リソースを大量に必要とします

方法 4：政府発行の身分証明書とデータベースとの照合

• 保護者は政府発行の身分証明書（運転免許証、パスポート）を提出し、運営者はそれをデータベースと照合します
• 確認完了後、身分証明書は運営者の記録から速やかに削除しなければなりません
• 確認後の身分証明書の削除について、セクション 312.5(b)(4) の要件を遵守しなければなりません
• 制限：機密性の高い本人確認書類の収集に関するプライバシー上の懸念と、保管に伴うリスクがあります

方法 5：知識ベース認証

• 運営者は、保護者であれば答えられる可能性が高い、サードパーティのデータベース（例：TransUnion、Experian、LexisNexis）に基づく一連の質問を使用します
• 質問は動的に生成し、確認を試みるたびに異なるものにしなければなりません
• 子どもが正しく回答できない程度の難易度基準を満たさなければなりません
• 制限：サードパーティのデータの正確性に左右され、信用履歴が少ない保護者では失敗する場合があります

方法 6：顔認識技術（FTC 承認済みの方法、2013 年）

• 保護者は、事前に確認済みの政府発行の写真付き身分証明書と照合する写真を提出します
• 照合の完了後、写真と身分証明書の画像は速やかに削除する必要があります
• 現在、FTC の COPPA Rule に基づく承認済みの方法ですが、重大なプライバシー上の懸念があります
• 制限事項：生体データの収集に関する懸念、人口統計グループ間での精度の格差

方法 7：メールプラス（限定的な用途）

• 運営者は、通知とリンクまたは返信手段を記載したメールを保護者に送信します
• 運営者は、妥当な時間が経過した後、確認メールを保護者に送信します
• この方法が承認されるのは、収集した情報を内部で使用する場合のみです。運営者が個人情報を第三者に開示する場合、または一般公開する場合には使用できません
• 制限事項：保証水準が最も低く、子どもが保護者のメールにアクセスできる可能性があります

同意方法の選択マトリックス

データの使用シナリオ	最低限必要な同意方法	FTC の期待
内部使用のみ（開示なし）	メールプラス（方法 7）	最低限の要件として許容
第三者との共有	方法 1、2、3、4、または 5	より高い保証水準が必要
子どもの情報を一般公開	方法 1、2、3、4、または 5	最高の保証水準を推奨
行動ターゲティング広告	方法 1、2、3、4、または 5	FTC が厳しく審査
写真、動画、音声の収集	方法 1、2、3、4、または 5	公開前に確認が必要

直接通知の要件 — Section 312.4

ウェブサイトまたはオンラインサービス上の通知 — Section 312.4(b)

運営者は、ホームページおよび子どもから個人情報を収集する各ページに、子どもに関する情報の取り扱いについて記載したオンライン通知へのリンクを、明確かつ目立つ形で掲載する必要があります。通知には次の内容を記載します。

1. サイト／サービスを通じて個人情報を収集または保持するすべての運営者の名称、所在地、メールアドレス、電話番号（または、指定した運営者 1 社の情報と、すべての運営者の一覧へのハイパーリンク）
2. 収集する情報の説明と、情報が能動的または受動的に収集されるかどうか
3. 運営者が情報をどのように使用しているか（および使用する可能性があるか）
4. 個人情報が第三者に開示されるかどうか。開示される場合は、事業者の種類、一般的な目的、および情報の機密性とセキュリティを維持することに同意しているかどうか
5. 保護者が子どもの個人情報を確認して削除させること、および以後の収集を拒否することができる旨
6. 保護者が権利を行使するための手続き

保護者への直接通知 — Section 312.4(c)

子どもから個人情報を収集する前に、運営者は次の内容を含む直接通知を保護者に送信する必要があります。

1. 保護者の同意を得る目的で、運営者が保護者のオンライン連絡先情報を収集した旨
2. 運営者の情報取り扱いについて
3. 保護者が妥当な時間内に返信しない場合、保護者のオンライン連絡先情報が削除される旨
4. オンライン通知へのリンク
5. 保護者が同意を提供する方法

FTC のセーフハーバープログラム — Section 312.11

業界団体またはその他の者は、COPPA Rule の保護措置を実施する自主規制ガイドライン（セーフハーバープログラム）の承認を FTC に申請できます。承認済みのセーフハーバープログラムの対象となる運営者は、Section 312 を遵守しているものとみなされます。

現在承認されているセーフハーバープログラム

プログラム	運営組織	対象分野
CARU（Children's Advertising Review Unit）	BBB National Programs	子どもを対象とした広告およびマーケティング
kidSAFE Seal Program	kidSAFE, LLC	子どもを対象とするウェブサイトおよびアプリ
ESRB Privacy Certified	Entertainment Software Rating Board	ビデオゲームおよびインタラクティブエンターテインメント
Aristotle Integrity（旧称 iKeepSafe COPPA Safe Harbor）	Aristotle Inc.	分野横断的な COPPA 遵守
PRIVO（Privacy Vaults Online）	PRIVO, Inc.	ID および同意管理テクノロジー
TrustArc（旧称 TRUSTe COPPA/Children's Privacy Program）	TrustArc Inc.	分野横断的なプライバシー認証

セーフハーバーのメリット

• FTC は、承認済みセーフハーバープログラムのガイドラインを遵守している事業者に対し、執行措置を講じません
• セーフハーバープログラムは、独立したコンプライアンス審査と監視を提供します
• プログラムは、紛争解決の仕組みと消費者からの苦情対応を提供します
• 加盟は、保護者や規制当局に対してコンプライアンスへの取り組みを示すものです

セーフハーバーの義務

• コンプライアンス活動に関する年次報告書を FTC に提出する
• 消費者救済を含む効果的な執行の仕組みを提供する
• 少なくとも年に一度、加盟者を対象に無作為かつ包括的なコンプライアンス監査を実施する
• 加盟者とコンプライアンス状況の公開リストを維持する

BrightPath Learning Inc. — COPPA の実装

BrightPath Learning Inc. は、米国の子どもが利用できる教育ゲームプラットフォームを運営しています。このプラットフォームには、インタラクティブな学習ゲーム、進捗状況の追跡、保護者との連絡機能が含まれます。

COPPA コンプライアンスアーキテクチャ

登録前のフロー：

1. ランディングページに「子どものプライバシーポリシー」へのリンクを目立つように掲載する
2. 登録フォームで「13歳以上ですか？」と中立的な「はい／いいえ」の選択肢を提示する（年齢は事前入力しない）
3. 「いいえ」を選択したユーザーを保護者の同意フローに案内する
4. 「はい」を選択したユーザーは通常の登録に進む（ステップ 5 で年齢を確認）

保護者の同意フロー：

1. 子どもが保護者のメールアドレスを入力する
2. BrightPath は、第 312.4(c) 条に従い、情報の取り扱いに関する完全な開示を含む直接通知を保護者に送信する
3. 保護者は 72 時間以内に同意リンクをクリックする（応答がない場合は連絡先情報を削除する）
4. 保護者は 0.50 米ドルの少額取引でクレジットカード認証を完了する（48 時間以内に返金する）
5. 保護者は、各データ利用について内容を確認し、個別に同意する：
   • アカウントの作成および教育コンテンツの提供（サービスに必須）
   • 保護者への学習進捗レポートの送信（任意）
   • プラットフォーム改善のための匿名化された集計分析（任意）
6. 保護者用ダッシュボードへのリンクを記載した確認メールを保護者に送信する

保護者用ダッシュボードの機能：

• 子どもから収集したすべての個人情報を確認する
• 収集した情報を機械可読形式（JSON/CSV）でダウンロードする
• 特定のデータ要素またはアカウント全体を削除する
• データ利用ごとの同意設定を変更する
• 利用時間の上限とコンテンツ制限を設定する
• 週ごとのアクティビティ概要レポートを受け取る

データ最小化対策：

• 広告目的で永続的な識別子を収集しない
• 位置情報データを収集しない（GPS は無効化し、IP アドレスは /24 に切り詰める）
• セッション終了後に写真、動画、音声録音を保存しない
• プロフィールアバターは事前設定された選択肢から選ぶ（13歳未満の子どもは写真をアップロードできない）
• 13歳未満のアカウントではチャット機能を無効化し、事前承認済みのメッセージのみを使用するモデレートされたテキストコミュニケーションを提供する

年次 COPPA 監査チェックリスト

#	監査項目	規制上の参照先	ステータス
1	プライバシーポリシーが掲載され、最新である	312.4(b)	四半期ごとに確認
2	収集前に直接通知を送信している	312.4(c)	自動化システムを検証済み
3	検証可能な保護者の同意を取得している	312.5	クレジットカード方式を検証済み
4	保護者のアクセス手段が機能している	312.6	ダッシュボードを毎月テスト
5	過剰なデータ収集を行っていない	312.7	四半期ごとにデータマッピングを確認
6	セキュリティ対策が適切である	312.8	年次ペネトレーションテスト
7	データ保持期間の制限を適用している	312.10	自動削除を検証済み
8	第三者への開示を記録している	312.4(b)(4)	ベンダーリストを四半期ごとに更新
9	セーフハーバーへの加盟が有効である	312.11	kidSAFE の更新日を追跡
10	スタッフ研修を完了している	社内ポリシー	全スタッフを対象に年次 COPPA 研修を実施

FTC の執行措置

• Epic Games/Fortnite（FTC、2022年）：保護者の同意なしに13歳未満の子どもの個人情報を収集し、デフォルトで見知らぬ相手との音声・テキスト通信を可能にし、ダークパターンを用いて購入を促したことに対し、2億7,500万米ドルの制裁金。COPPA 史上最大の制裁金です。
• Google/YouTube（FTC、2019年）：子ども向けの YouTube チャンネルの視聴者から、検証可能な保護者の同意を得ずにターゲティング広告を配信するための永続的識別子を収集したことに対し、1億7,000万米ドルで和解（FTC が1億3,600万米ドル、ニューヨーク州司法長官が3,400万米ドル）。
• Musical.ly/TikTok（FTC、2019年）：相当数のユーザーが子どもだと認識しながら、保護者の同意なしに13歳未満の子どもから氏名、メールアドレス、その他の個人情報を収集したことに対し、570万米ドルで和解。
• VTech Electronics（FTC、2018年）：保護者の同意なしに、写真、チャットログ、音声録音などの子どもの個人情報を収集し、データを保護できず、640万件の子どもの記録が漏えいしたことに対し、65万米ドルで和解。
• Unixiz Inc./Explore Talent（FTC、2020年）：タレント発掘サイトでプライバシーポリシーを掲載せず、保護者の同意を取得せず、合理的なセキュリティ対策も維持せずに子どもの個人情報を収集したことに対し、200万米ドルの判決。

2024年 COPPA 規則改正案

FTC が2023年12月に公表した規則制定提案の通知では、以下の大幅な変更が提案されています。

1. ターゲティング広告に対する個別の同意：事業者は、子どもを対象とするターゲティング広告について、個別にオプトイン方式の保護者の同意を取得する必要があります。サービスそのものへの同意と広告への同意を一括して取得することはできません。
2. プッシュ通知への同意を条件とすることの禁止：事業者は、子どもへのプッシュ通知送信に保護者が同意することを、サービスへのアクセス条件にできません。
3. データセキュリティ要件の強化：事業者は、具体的な技術的保護措置を含む、書面による情報セキュリティプログラムを実施する必要があります。
4. 個人情報の定義の拡大：生体識別子が定義に明示的に追加されます。
5. データ保持の制限：事業者は、子どもの個人情報を、収集した特定の目的に合理的に必要な期間に限って保持する必要があります。
6. セーフハーバーの説明責任：より詳細な年次報告要件を含め、セーフハーバープログラムに対する FTC の監督が強化されます。

統合ポイント

• GDPRに基づく保護者の同意：米国とEUの両方で事業を展開するサービスは、COPPAの要件（13歳未満の明確な基準）とGDPR第8条の要件（加盟国により13～16歳）の両方を満たす必要があります
• 年齢確認方法：COPPAでは年齢確認が必要です。方法は、年齢を偽って申告する動機を与えないものでなければなりません
• 子どものデータの最小化：COPPA第312.7条は、GDPR第5条第1項(c)のデータ最小化の原則と合致します
• EdTechのプライバシー評価：COPPAの学校例外（第312.5(c)(4)条）では、教室で使用する教育テクノロジーについて、学校が保護者に代わって同意することが認められています
• 子どもによる削除請求：COPPA第312.6条では、保護者からの請求に応じて、事業者が子どもの情報を削除することが義務付けられています